Gestão de riscos é uma das disciplinas mais consolidadas dentro das organizações. Identificamos riscos, avaliamos probabilidade e impacto, definimos controles, estabelecemos indicadores e acompanhamos planos de ação. Periodicamente, revisitamos esse conjunto de informações e atualizamos nossa visão sobre a exposição da empresa.
O modelo faz sentido. O problema é que talvez exista uma diferença cada vez maior entre a velocidade com que enxergamos os riscos e a velocidade com que eles realmente mudam.
Imagine uma organização que acabou de concluir seu ciclo de avaliação de riscos. O risk register está atualizado, os principais riscos foram discutidos com as áreas responsáveis e os controles estão mapeados. Poucos dias depois, uma área contrata um novo fornecedor de tecnologia. Outra implementa uma automação. Uma aplicação passa a consumir uma nova API. Um colaborador começa a utilizar uma ferramenta de Inteligência Artificial para apoiar determinada atividade. Em outro processo, uma integração altera silenciosamente o fluxo de dados entre dois sistemas.
Nenhum desses eventos precisa representar, isoladamente, um problema. Mas todos eles podem modificar a exposição ao risco da organização.
A empresa mudou. Sua representação de riscos talvez ainda não. Esse intervalo merece nossa atenção.
O risk register não é a empresa
Durante muito tempo, documentos, planilhas e plataformas foram fundamentais para estruturar a Gestão de Riscos. E continuarão sendo. O problema começa quando confundimos a representação do risco com o próprio risco.
Um risk register pode conter centenas de riscos cuidadosamente classificados e ainda assim representar apenas parte da realidade da organização. Não necessariamente porque o processo de Gestão de Riscos seja ruim, mas porque aquilo que conseguimos registrar depende daquilo que conseguimos identificar.
Isso cria uma pergunta desconfortável:
Sua empresa conhece seus riscos ou conhece apenas os riscos que conseguiu documentar? Existe uma diferença importante entre as duas coisas.
Grande parte dos modelos tradicionais depende de ciclos de identificação, entrevistas, workshops, questionários, avaliações e declarações das próprias áreas. São mecanismos necessários e valiosos, mas possuem uma característica em comum: observam a organização em determinados momentos.
O problema é que a organização não funciona em ciclos trimestrais. Ela funciona continuamente.
Pessoas mudam de função. Sistemas recebem atualizações. Fornecedores entram e saem. Processos são redesenhados. Dados passam a percorrer novos caminhos. Vulnerabilidades surgem. Acessos são concedidos. Automações são criadas. Inteligências Artificiais começam a participar de atividades que anteriormente eram executadas exclusivamente por pessoas.
O risco organizacional é dinâmico. Nossa Governança ainda é predominantemente periódica.
Fotografias de uma organização em movimento
Talvez uma boa maneira de entender esse problema seja imaginar nossos mecanismos tradicionais de Governança como fotografias.
Uma avaliação de riscos registra uma fotografia. Um teste de controles registra outra. Uma auditoria registra outra. Uma certificação registra outra.
Cada fotografia pode ser tecnicamente excelente. O desafio é que estamos tentando compreender uma organização em movimento utilizando imagens capturadas em determinados momentos.
Entre uma fotografia e outra, a realidade continua mudando.
Isso não significa que auditorias periódicas, assessments ou ciclos de controles estejam ultrapassados. Pelo contrário. Eles continuam fundamentais. Mas talvez precisemos reconhecer que foram concebidos em um contexto no qual a velocidade das mudanças era diferente da que encontramos hoje.
E a Inteligência Artificial tende a aumentar ainda mais essa distância.
Quando a empresa começar a mudar sozinha
A chegada da IA generativa já mostrou como novas tecnologias podem se espalhar pelas organizações antes mesmo que os mecanismos formais de Governança consigam acompanhá-las. Mas estamos entrando em uma etapa ainda mais complexa.
Agentes de Inteligência Artificial começam a deixar de apenas responder perguntas para executar atividades, interagir com sistemas e participar de fluxos de decisão.
Imagine um processo no qual um agente analisa informações de fornecedores, outro verifica determinados critérios de risco, um terceiro recomenda uma decisão e uma automação executa parte do processo.
Uma mudança na configuração de qualquer elemento dessa cadeia pode modificar a exposição ao risco sem necessariamente gerar uma nova linha no risk register.
Nesse cenário, realizar avaliações periódicas continuará importante, mas provavelmente não será suficiente.
A pergunta deixa de ser apenas “quais riscos identificamos?” e passa a incluir: “Quais sinais dentro da organização indicam que nossa exposição ao risco mudou?”
Essa pequena mudança de pergunta pode transformar profundamente a maneira como pensamos GRC.
De declarações para sinais
Hoje grande parte da Governança depende de pessoas dizendo à organização como determinado processo funciona.
No futuro, acredito que complementaremos cada vez mais essas declarações com sinais produzidos pela própria operação.
Mudanças de acesso podem sinalizar alterações no risco de identidade. Novos fornecedores podem modificar a exposição a terceiros. Mudanças em aplicações podem afetar controles existentes. Incidentes podem revelar fragilidades que ainda não aparecem nos assessments. Divergências entre fontes de dados podem indicar que nossa compreensão sobre determinado ambiente está incompleta.
O objetivo não seria eliminar a análise humana. Seria justamente dar a ela uma representação mais atual da realidade.
Isso nos levaria de uma Governança baseada predominantemente em ciclos para uma Governança progressivamente mais contínua.
Não significa testar tudo, o tempo todo. Nem transformar cada evento operacional em um risco corporativo. O desafio será justamente separar ruído de sinal e entender quais mudanças realmente alteram a exposição da organização.
É aqui que Inteligência Artificial pode assumir um papel particularmente interessante em GRC: não apenas escrevendo políticas, resumindo documentos ou respondendo perguntas sobre frameworks, mas ajudando a conectar sinais que hoje permanecem dispersos pela empresa.
Talvez o futuro do GRC não seja um risk register melhor
Durante anos investimos em metodologias, plataformas e processos para registrar e acompanhar riscos com mais eficiência. Esse avanço foi importante e continuará sendo.
Mas talvez estejamos chegando a um ponto em que a próxima evolução não virá simplesmente de uma planilha melhor, de um dashboard mais sofisticado ou de uma nova ferramenta para executar o mesmo ciclo com mais velocidade.
Ela poderá vir da capacidade de reduzir continuamente a distância entre a organização que acreditamos governar e a organização que realmente existe.
Isso exige conectar estratégia, processos, tecnologia, riscos, controles e evidências de uma forma muito mais dinâmica do que fazemos hoje.
Frameworks continuarão fundamentais. Assessments continuarão necessários. Auditorias continuarão indispensáveis. O que pode mudar é a maneira como essas peças se relacionam com a realidade operacional.
Em vez de observarmos a organização apenas em determinados momentos, começaremos a desenvolver mecanismos capazes de perceber quando algo relevante mudou.
Talvez essa seja uma das maiores transformações que a Inteligência Artificial poderá provocar em GRC.
Não substituir Governança. Diminuir a distância entre a Governança e a realidade.
Porque o maior ponto cego de uma organização talvez não esteja entre os riscos classificados como altos, médios ou baixos.
Pode estar justamente naquele risco que mudou ontem, e que nossos modelos só descobrirão na próxima revisão.
Assine a nossa News e siga o Itshow nas redes sociais para ficar por dentro de todas as notícias do setor de TI e Cibersegurança!